PKIとはPublic Key Infrastructureを指し、あえて日本語に直せば「公開鍵基盤」となる。電子データをより安全に行うために提供される基盤であり、基盤としての構成要素は証明書、認証局 、リポジトリから成り立っている。

■電子データ通信に伴う4つのリスク

紙ベースで行われている企業間や個人間の契約、約束、取り決め、あるいは手形、小切手などの書面を電子化しようとする場合に、最も懸念される問題点は、デジタルデータであるがために紙ベースのものよりも一層改ざんがしやすく、また盗難・漏えいも起こりやすいことである。また、面と向かって行われることが前提とされていないため、相互の認証をどのような手段で確実に行うか、についても問題となる。電子データによる書面のやりとりが行われる場合、一般に次のようなリスクを伴うものとされている。

(1)盗聴・漏えい

TCP/IPプロトコルでやりとりされるデータを盗聴することはそう難しいことではない。今日のように無線通信が頻繁に行われるようになれば、回線に接続する必要すらないのでなおさらである。これは前回見たように文書の暗号化により回避できる。

(2)なりすまし

ネットワーク上のやりとりであれば相手と顔を合わせることはない。盗聴などによって事前に正確な情報が入手できさえすれば、他人になりすますことは簡単にできる。確実な相互認証の手段があれば回避できる。

(3)改ざん

電子書類は変更が容易であることが利点でもあり、また欠点でもある。文書が改ざんされることを防止するには、メッセージ認証を行う必要がある。

(4)事後否認

合意が取り交わされた後になって、都合が悪くなった方の当事者が「先の合意文書は改ざんされたものである」と主張する事態が起こりうる。確実な電子署名の仕組みが与えられれば回避できる。

■PKIの3つの技術的基盤

これらのリスクに対して、前回解説した暗号化は(1)の「盗聴・漏えい」に対しては有効な手段である。しかし、残り3つに対しては効果がない。そこでPKIでは、暗号化技術としては通常RSAによる暗号化アルゴリズムを使用しながら、「デジタル署名」および「証明書」によって上記のリスクを回避すること狙いとしている。

暗号化は、仮に盗聴されても盗聴した人物に意味が分からないように、一定のアルゴリズムを使用して文書を変換することである。デジタル署名はわが国の日常生活で例えれば印鑑にあたる。しかし印鑑であれば何でも信頼に足るものかといえばそうではない。銀行では印影を銀行自身が保管管理している。また法律的な効力を確実にするために、実印については役所が発行する印鑑証明書が添付されることによって、印鑑の持ち主が本人に間違いないことがはじめて証明される。同じようにデジタル署名の場合はデジタル署名が本人のものであることを証明する機関として、認証局(CA＝Certification Authority)が保証することになる。

これらの課題に対し、公開鍵暗号技術を使用することでセキュリティ環境整備のための仕組みとして提唱されているのが、PKIである。なお、公開鍵暗号は解読が困難な反面、一方向ハッシュ関数を利用するため処理速度が遅くなる。したがって、すべてのデータを暗号化するのには向かない。現在のところあくまで文書またはメッセージ交換のための技術であると考えたほうがよかろう。

■PKIによる文書交換手順

PKIの特徴の1つは公開鍵(Public Key)と秘密鍵(Private Key)の2つの鍵を活用するところにある。PKIを利用した「認証局」「送信側」「受信側」の間における文書の交換は下記のような流れになる。

1. 送信側が認証局に対し証明書の交付を要求。証明書とは公開鍵と送信側が関連づけられていることを証明するもの。
2. 受信側が認証局に対し証明書の交付を要求。
3. 認証局は送信側に対し送信側の公開鍵とともに証明書を交付。
4. 認証局は受信側に対し受信側の公開鍵とともに証明書を交付。
5. 送信側は証明書と公開鍵を受信側に送付。
6. 受信側は証明書と公開鍵を送信側に送付。この段階で送信側は受信側の公開鍵と証明書、受信側は送信側の公開鍵と証明書を手にしたことになる。
7. 送信側は送信側の秘密鍵で署名、また受信側の公開鍵で暗号化された文書を受信側に送付。
8. 受信側は送信側の公開鍵で送信側の署名を検証し、受信側の秘密鍵で復号化(暗号解除)する。

■法律上の扱い

電子署名・認証法が2001年4月に施行され、電子文書でも電子署名がなされている場合は、書面を通じて行われる通常の商取引における署名や押印と同じ効力をもつこととなっている。世界各国で同趣旨の法律が制定されているが、わが国の場合、いまのところ「公開鍵(PKI)による電子認証」でなければ法律的に効果がない、というものではない。しかし、現在のところPKI＝公開鍵認証方式が世界の標準と認められつつあることも事実である。

セキュリティ関連の専門知識は深く突っ込めば切りがない。また難解でもある。セキュリティを専門とするのでなければ、言葉としてその意味が理解できれば十分であろう。